Når sikkerhedstjenester går dårligt

Forestil dig dette. En gruppe gymnasier beslutter at prank skolen ved at ringe til kontoret og hænge op igen og igen. Skolens kommunikation stoppes; ingen kan faktisk komme igennem til rektor. Det er meget som det, der sker i et Distribueret Denial of Service-angreb. Malefactors tilskynder en hær af bots til at hamre målets servere med trafik, indtil serveren ikke kan tage det længere. Incapsula, en DDoS-beskyttelsestjeneste, rapporterer et kæmpe DDoS-angreb med et interessant twist; de angribende pakker kom fra to andre DDoS-beskyttelsesfirmaer.

Blogindlægget, af Incapsulas Igal Zeifman, identificerer ikke virksomhederne og siger kun, at de var "den ene i Canada, den anden i Kina." Begge virksomheder indrømmede ansvar og "droppede de ansvarlige parter fra deres tjenester." Men hvordan kunne dette ske i første omgang?

Oversvømmelse vs. forstærkning

Sidste års SpamHaus DDoS-angreb anvendte en teknik kaldet DNS-forstærkning. Angriberen sender en lille DNS-anmodning, der returnerer et enormt svar, og forfalsker anmodningspakken, så svaret går til offeret. Det giver et lille antal servere mulighed for at trække et stort DDoS-angreb ud.

Imidlertid påpeger Incapsula-posten, at det er usædvanligt let at hærde et netværk mod denne form for angreb. Alt hvad du behøver at gøre er at definere en regel, der afviser enhver pakke med DNS-oplysninger, som serveren ikke anmodede om.

Det pågældende angreb brugte ikke nogen form for forstærkning. Det oversvømte blot offerets servere med normale DNS-anmodninger, med en hastighed på 1, 5 milliarder pr. Minut. Disse anmodninger kan ikke skelnes fra gyldig trafik, så serveren skal undersøge hver. Denne type angreb overbelaster serverens CPU og hukommelse, mens et amplifikationsangreb overbelaster båndbredde ifølge indlægget.

Hvordan skete det?

Zeifman påpeger, at en DDoS-beskyttelsestjeneste har nøjagtigt den infrastruktur, som man skulle bruge for at montere et DDoS-angreb. "Dette kombineret med det faktum, at mange leverandører er mere optaget af 'hvad der kommer ind' i modsætning til 'hvad der går ud', gør dem til en god pasform for hackere, der ønsker at udføre massive ikke-forstærkede DDoS-angreb, " bemærkede Zeifman. "Ud over at give den 'poetiske vri' ved at forvandle beskyttere til aggressorer er sådanne mega-oversvømmelser også ekstremt farlige."

Det er sandt, at et angreb på dette niveau kræver ressourcer, som en typisk internetkriminalbande sandsynligvis ikke kunne mønstre. Selv det største botnet ville ikke lade dem opnå 1, 5 milliarder anmodninger pr. Minut. Ifølge Zeifman er løsningen for virksomheder, der har disse ressourcer til at beskytte dem bedre. "Enhver tjenesteudbyder, der tilbyder ubetinget adgang til højdrevne servere, hjælper gerningsmændene med at vokse ud af disse begrænsninger, " sagde Zeifman. "I dette tilfælde spillede sikkerhedsleverandørerne lige i hackernes hænder."

Du kan læse det fulde indlæg på Incapsulas websted. Og hey, hvis du tilfældigvis er en af ​​de meget få mennesker, der administrerer den slags højdrevne servere, der kræves til denne form for angreb, skal du måske undersøge din sikkerhed nøje - meget omhyggeligt.